NIS2 im Mittelstand: Betroffenheit klären, Pflichten kennen, in 90 Tagen startklar.

Nein. Direkt betroffen ist nur, wer eine der Tätigkeiten aus den Anlagen 1 und 2 des BSI-Gesetzes ausübt und zugleich die Größenschwelle erreicht: mindestens 50 Beschäftigte oder jeweils über 10 Millionen Euro Jahresumsatz und Bilanzsumme. Viele kleinere Mittelständler sind aber mittelbar betroffen, weil regulierte Kunden NIS2-Standards vertraglich verlangen. Das Whitepaper führt Sie mit drei Prüffragen zur Einstufung.

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Verletzt sie diese Pflichten schuldhaft, haftet sie dem eigenen Unternehmen nach Gesellschaftsrecht, bei der GmbH nach § 43 GmbHG. Entscheidend ist deshalb, Beschlüsse, Berichte und Schulungen nachweisen zu können.

Erhebliche Sicherheitsvorfälle sind gestuft zu melden: eine Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung nach 72 Stunden und eine Abschlussmeldung einen Monat danach. Liegt zugleich eine Datenschutzverletzung vor, prüfen Sie zusätzlich die Meldepflicht an die Datenschutzaufsicht nach Art. 33 DSGVO, einschließlich Risikobewertung. Das Whitepaper zeigt, wie Sie die Meldekette vorab festlegen und üben.

Nicht vollständig, aber in 90 Tagen schaffen Sie eine belastbare Grundlage: Einstufung und Registrierung, Sofortmaßnahmen wie Mehr-Faktor-Anmeldung und getestete Datensicherung, einen beschlossenen Maßnahmenplan, Schulungen und einen geübten Meldeweg. Größere Vorhaben laufen mit Termin und Verantwortlichen weiter; bis dahin sichern bewertete Zwischenmaßnahmen die offenen Risiken ab. Den Aufwand für Ihr Unternehmen klären wir gern in einem kostenlosen Erstgespräch.